775109

Betriebssystem des fremden PCs ermitteln

01.03.2016 | 15:29 Uhr | Hans-Christian Dirscherl,

So sieht das Ergebnis des Portscans aus, den wir gegen unseren Linux-PC richteten.
Vergrößern So sieht das Ergebnis des Portscans aus, den wir gegen unseren Linux-PC richteten.

Typischerweise nennt Nmap zu jedem als nicht geschlossen identifizierten Port dessen Nummer samt zugehörigem Protokoll (in unseren Beispiel ist das TCP), dessen Zustand (open/offen) und den damit verbundenen Service, also beispielsweise http für den Browser-Traffic oder eben FTP. Geben Sie die Portnummer am besten zusammen mit dem Service in einer Internetsuchmaschine ein, um sich zu vergewissern, wofür die betreffende Verbindung denn genau genutzt wird. Entdecken Sie dabei einen offenen Port, der eigentlich nicht geöffnet sein sollte, dann ist Vorsicht angesagt: Möglicherweise hat ein Trojaner den Port geöffnet um darüber zu kommunizieren. Eine Liste von bekannten Trojanern, die an für sie typischen Ports lauschen, finden Sie unter diesem Link .

Betriebssystem des Zielrechners ermitteln
Vergrößern Betriebssystem des Zielrechners ermitteln

nmap -sV localhost: Laufende Dienste ermitteln

Wenn Sie wissen wollen, welche Version eines Dienstes zum Einsatz kommt, dann fügen Sie -sV hinzu, das Betriebssystem des gescannten Rechners/Servers ermitteln Sie wiederum mit -O: nmap -sV -O 172.16.24.102 liefert nach etwas längerer Zeit als Ergebnis, dass auf unserem Zielrechner Apache 2.2.16 als Webserver installiert ist. Unter Ubuntu geben Sie sudo nmap -sV localhost ein.

Bei der Ermittlung des genauen Linux-Systems beißt sich Nmap allerdings die Zähne aus, es spuckt lediglich vage Ubuntu als System aus. Womit bereits klar wird, dass Nmap sich durchaus irren kann beziehungsweise durch den gescannten Server/PC in die Irre geführt werden kann. Der Selbstscan auf dem Linux-Rechner lieferte ein präziseres Ergebnis, nämlich Linux 2.16.x und zudem CUPS 1.4 für den Druckerdienst. Tipp: anstatt -sV und -O können Sie auch nur -A als Option eingeben. Das -A steht für "aggressive" Scan und versucht ebenfalls das Betriebssystem des Zielrechners und die Versionen der Dienste zu ermitteln.

Hacker-Tools für Profis

Hintergrund: Jedes Betriebssystem hinterlässt seinen eigenen individuellen Fingerabdruck im Internet, den man analysieren kann (das Verfahren hierfür nennt man OS-Fingerprinting). Man unterscheidet hierbei zwischen aktiver und passiver Betriebssystemerkennung. Bei der aktiven OS-Erkennung wird dem gescannten Rechner sozusagen ein Datenpaket als Köder geschickt. Beispiel: nmap -sT -O Ziel-IP-Adresse (wenn man den Scanvorgang beschleunigen will, kann man zusätzlich mit "-p" gezielt den Port angeben, an den Nmap das Datenpaket schicken soll). Der Zielrechner antwortet auf dieses Paket und aus dessen Antwort kann Nmap dann versuchen, das System des Zielrechners zu identifizieren. Die aktive Betriebssystemerkennung liefert grundsätzlich exaktere Ergebnisse, ein derartiger Portscan kann von einem Administrator aber auch leichter erkannt werden. Bei der passiven Betriebssystemerkennung liest Nmap nur den Traffic an den überwachten Rechner mit und analysiert dessen Datenpakete. Nmap kann sich hier gut tarnen und bleibt oft unerkannt, liefert aber dafür weniger exakte Ergebnisse.

PC-WELT Marktplatz

775109